CVE-2026-44592: Gradient CI: falta de autenticação no registro de workers

Visão geral

Este registro descreve uma falha de falta de autenticação no Gradient, um sistema de integração contínua baseado em nix, que afeta a versão 1.1.0. O endpoint de registro de workers em /proto pode aceitar novos workers sem credenciais quando a opção discoverable está ativa. O GitHub Security Advisory indica que a correção está na versão 1.1.1.

Impacto

Segundo o registro, a sessão criada dessa forma recebe autorização de peer aberta, o que expõe jobs de todas as organizações. A mesma sessão pode gravar no armazenamento de cache binário e na tabela de caminhos em cache. Como o registro vincula essas capacidades a caminhos de store arbitrários, as preocupações principais são a confidencialidade das informações de build entre organizações e a integridade dos artefatos em cache que outros usuários podem consumir.

• Confidencialidade: visibilidade de jobs pertencentes a outras organizações.
• Integridade: entradas não autorizadas em nar_storage e cached_path, que podem afetar sistemas que confiam no cache.
• Disponibilidade: o registro não descreve impacto direto na disponibilidade.

A pontuação base CVSS 3.1 de 9.4 é classificada como crítica pela fonte do aviso.

Produtos e versões afetados

A descrição cita o Gradient 1.1.0 como afetado quando GRADIENT_DISCOVERABLE está como true, incluindo o padrão do módulo NixOS. As listas estruturadas de versões afetadas e corrigidas do registro estão vazias, por isso a faixa exata deve ser confirmada no aviso. Não é possível saber, com os dados disponíveis, se versões anteriores também são afetadas.

Status de exploração

O campo KEV da CISA no registro está como falso, portanto este CVE não consta ali como explorado ativamente. Nenhuma exploração confirmada aparece nas fontes consultadas. A probabilidade EPSS registrada é 0.00216, com percentil de 0.11178, o que é uma estimativa estatística e não evidência de exploração.

Correção e mitigação

• Atualize o Gradient para a versão 1.1.1 ou superior, conforme indicado na descrição do registro.
• Se a atualização imediata não for possível, restrinja o acesso de rede ao endpoint /proto a hosts confiáveis. Esta é uma inferência a partir da descrição, não um workaround confirmado pelo fornecedor.
• Onde o registro dinâmico de workers não for necessário, avalie desativar a opção GRADIENT_DISCOVERABLE. O registro não confirma que isso elimina totalmente a exposição.
• Revise os padrões do módulo NixOS nas suas implantações, já que o registro indica que o padrão é ativado.

Orientação para detecção

• Analise os logs em busca de registros de workers em /proto que você não reconhece, especialmente de identificadores ou origens desconhecidas.
• Audite nar_storage e a tabela cached_path em busca de entradas que você não consegue atribuir ao seu próprio pipeline de build.
• Verifique a integridade dos artefatos servidos pelo cache antes de usá-los em builds posteriores.

Limitações das informações disponíveis

O registro não possui dados estruturados de versões afetadas ou corrigidas e não traz pontuação CVSS do fornecedor além da fonte GitHub Security Advisory. O status da fonte está como Deferred, então atualizações posteriores podem alterar os detalhes. O registro não fornece material de prova de conceito, e esta análise não acrescenta nenhum. Não é possível saber se alguma implantação em produção foi comprometida.

Perguntas frequentes

Qual versão do Gradient corrige o CVE-2026-44592?

Segundo a descrição do registro, a falha está corrigida na versão 1.1.1. O registro não traz listas estruturadas de versões corrigidas, então confirme os detalhes no GitHub Security Advisory.

O CVE-2026-44592 é explorado ativamente?

O registro indica que o CVE não consta no KEV da CISA e não há exploração confirmada nas fontes consultadas. Isso não prova que a exploração nunca ocorreu.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.